הרשות להגנת הפרטיות פרסמה באוקטובר 2025 כלי דיגיטלי חינמי לזיהוי סיכוני פרטיות בארגון (גרסת בטא), לצד מתודולוגיה מפורטת לעריכת תסקיר השפעה על הפרטיות. במאמר הזה נעשה סדר: מה זה DPIA, האם הוא חובה בישראל, מה הכלי הדיגיטלי באמת עושה, ואיך משתמשים בו נכון.
מה זה DPIA?
תסקיר השפעה על הפרטיות (DPIA, Data Protection Impact Assessment) הוא תהליך מובנה להערכת סיכוני פרטיות לפני פרויקט או מערכת שמעבדים מידע אישי: מה נאסף, לאילו מטרות, מה יכול להשתבש, ואילו אמצעים מפחיתים את הסיכון.
האם DPIA חובה בישראל?
לא. בניגוד ל-GDPR האירופי (סעיף 35), הדין הישראלי אינו קובע חובת תסקיר סטטוטורית גורפת. בישראל DPIA הוא כלי מומלץ: הרשות להגנת הפרטיות פרסמה מתודולוגיה לעריכת תסקיר (נובמבר 2022, עודכנה בדצמבר 2025), והתסקיר נדרש בפועל כחלק מניהול סיכונים ואחריותיות, במיוחד בעיבוד בסיכון גבוה. ההבחנה חשובה: מי שמציג את התסקיר כחובת חוק ישראלית גורפת אינו מדייק, אבל ארגון שמוותר עליו בפרויקט מסוכן חושף את עצמו לסיכון ממשי.
מה הכלי הדיגיטלי באמת עושה?
הכלי, "כלי דיגיטלי לזיהוי סיכוני פרטיות בארגון" (גרסת בטא), הוא שאלון אבחון עצמי בשלושה שלבים:
- הנחיות: הסבר על הכלי ומגבלותיו, כולל הבהרה שהוא אינו ייעוץ משפטי.
- שאלון אינטראקטיבי: כ-27 שאלות על איסוף המידע, סוגיו, האחסון, ההעברות לחו"ל ונושאים מיוחדים כמו AI, קטינים ודיוור ישיר.
- המלצות אוטומטיות: רשימת המלצות פעולה מותאמות, עם הפניות לסעיפי החוק והתקנות.
חשוב לדייק: הכלי אינו מבצע תסקיר ואינו תחליף לו. הוא נקודת פתיחה טובה למיפוי פערים, וכך הרשות עצמה מציגה אותו.
מתי מומלץ לערוך תסקיר מלא?
ככל שהעיבוד רגיש ורחב יותר: שימוש ב-AI שמעבד מידע אישי, מצלמות עם זיהוי פנים, ניטור שוטף של עובדים, העברת מידע בעל רגישות מיוחדת לענן, סחר במידע כדרך עיסוק או דיוור ישיר בהיקף גדול. בתרחישים כאלה תסקיר מסודר לפי מתודולוגיית הרשות הוא הדרך המקצועית להוכיח אחריותיות, וגם בסיס מצוין להחלטות אבטחת מידע לפי התקנות.
שילוב עם WebLaw
מודול ה-DPIA של WebLaw בנוי לפי מתודולוגיית התסקיר של הרשות, עם תוספות מקצועיות: ניהול ממצאים, מעקב פעולות תיקון ותיעוד מסודר שנשמר לאורך זמן. כך התסקיר אינו נשאר מסמך חד-פעמי אלא הופך לחלק מתוכנית הציות השוטפת.